Accord de traitement des données (DPA)

Le présent accord de traitement des données (l'« accord ») est conclu entre votre entreprise, le client, en qualité de responsable du traitement, et VELM, société par actions simplifiée unipersonnelle (SASU) au capital de 5 000 €, immatriculée au RCS de Paris sous le numéro 104 221 841, dont le siège est situé 229 rue Saint-Honoré, 75001 Paris, France, qui exploite Truviate, en qualité de sous-traitant. Il constitue l'accord exigé par l'article 28, paragraphe 3, du règlement (UE) 2016/679 (RGPD) et s'applique aux données personnelles contenues dans les documents que vous téléversez et dans les enregistrements qui en sont dérivés (les « données client »).

L'accord fait partie intégrante des conditions d'utilisation et est accepté avec elles à la création du compte, par la personne habilitée à engager votre entreprise. Sa version et sa date figurent en tête de cette page ; chaque version remplace la précédente pour les traitements postérieurs à sa date. En cas de contradiction entre l'accord et les conditions d'utilisation sur une question de protection des données, l'accord l'emporte. Les termes « données personnelles », « traitement », « responsable du traitement », « sous-traitant », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens que leur donne le RGPD.

En qualité de responsable du traitement, vous :

• déterminez seul les finalités et les moyens du traitement des données client, et garantissez qu'il repose sur une base juridique valable ;
• êtes en droit de téléverser les documents que vous téléversez, y compris les données personnelles qu'ils contiennent, et avez fourni aux personnes concernées les informations exigées par les articles 13 et 14 du RGPD ;
• ne téléversez pas de catégories particulières de données (article 9 du RGPD) ni de données relatives à des condamnations pénales et à des infractions, le service n'étant pas conçu pour elles ;
• donnez vos instructions par l'usage du service décrit à l'article 4, définissez la période de conservation de votre espace de travail et effectuez vous-même les suppressions que vous jugez nécessaires ;
• répondez aux demandes des personnes concernées que vous recevez, VELM vous transmettant celles qu'elle reçoit directement ;
• tenez vos propres registres et, le cas échéant, réalisez vos analyses d'impact et consultations préalables, avec l'assistance prévue à l'article 9.

Vous disposez des droits suivants : donner des instructions et être informé lorsqu'une instruction paraît contraire au droit (article 4), être notifié d'une violation de données (article 7), vous opposer à un nouveau sous-traitant ultérieur (article 8), obtenir la suppression ou la restitution des données client à la fin du service (article 10) et vérifier le respect du présent accord (article 11).

• Objet : stockage et analyse des documents que vous téléversez afin de vérifier des factures provisoires au regard des contrats et du travail approuvé.
• Durée : aussi longtemps que votre espace de travail existe ; le traitement prend fin avec sa suppression, sous réserve des durées de conservation indiquées dans la politique de confidentialité.
• Nature : stockage, extraction de texte, extraction assistée par IA des conditions de facturation à partir du texte du contrat, comparaison déterministe du travail approuvé et des factures provisoires, présentation des constats et des preuves, et piste d'audit.
• Finalité : vous permettre de vérifier vos factures avant de les envoyer. VELM ne traite les données client pour aucune autre finalité, et jamais pour entraîner des modèles.
• Types de données : données d'identification et professionnelles telles qu'elles figurent dans les contrats et dans les exports de temps, de frais et de factures — noms, fonctions, adresses e-mail, taux, heures, montants et conditions contractuelles.
• Catégories de personnes concernées : vos collaborateurs et prestataires, le personnel et les contacts de vos clients, et toute autre personne nommée dans ces documents.

VELM ne traite les données client que sur vos instructions documentées. Le présent accord, les conditions d'utilisation et votre utilisation du service — y compris la période de conservation que vous définissez et les suppressions que vous effectuez — constituent ces instructions. Toute instruction supplémentaire est donnée par écrit à support@truviate.com ; VELM vous indique si elle peut y donner suite et à quelles conditions.

Ces instructions couvrent les transferts de données client hors de l'Union européenne, limités aux sous-traitants ultérieurs de l'annexe 1, pour les rôles et avec la garantie qui y sont indiqués. Si, de l'avis de VELM, une instruction enfreint le RGPD ou une autre règle de protection des données de l'Union ou d'un État membre, VELM vous en informe sans délai et peut suspendre l'exécution de cette instruction jusqu'à ce que vous l'ayez confirmée ou modifiée. VELM ne traite les données client en dehors de vos instructions que si le droit de l'Union ou d'un État membre l'exige, auquel cas elle vous en informe au préalable, sauf si ce droit l'interdit pour des motifs importants d'intérêt public.

Seules les personnes qui en ont besoin pour exploiter le service ont accès aux données client, et chacune est tenue à une obligation contractuelle ou légale de confidentialité. Les données client ne sont jamais partagées avec d'autres clients.

VELM met en œuvre les mesures techniques et organisationnelles décrites à l'annexe 2 et dans l’aperçu de la sécurité, et les maintient à un niveau adapté au risque, compte tenu de l'état des connaissances et de la nature des données client. L'annexe 2 ne contient que des mesures en place : une mesure retirée du service l'est de l'annexe par une nouvelle version de cette page, et une mesure nouvelle n'y est ajoutée qu'une fois en service.

VELM vous notifie toute violation de données à caractère personnel affectant les données client dans les 48 heures après en avoir eu connaissance, par e-mail aux propriétaires de l'espace de travail concerné. La notification contient, ou est complétée par étapes dès que les éléments sont disponibles :

• la nature de la violation, avec les catégories et le nombre approximatif de personnes concernées, ainsi que les catégories et le nombre approximatif d'enregistrements concernés ;
• le nom et les coordonnées du point de contact auprès duquel des informations supplémentaires peuvent être obtenues ;
• les conséquences probables de la violation ;
• les mesures prises ou proposées pour y remédier, y compris, le cas échéant, celles destinées à en atténuer les éventuelles conséquences négatives.

VELM documente la violation et vous assiste pour vos propres notifications à l'autorité de contrôle et aux personnes concernées (articles 33 et 34 du RGPD). Elle ne notifie pas l'autorité ni les personnes concernées à votre place, sauf instruction écrite de votre part.

Vous donnez une autorisation générale pour les sous-traitants ultérieurs listés à l'annexe 1, pour les rôles qui y sont indiqués. VELM impose à chacun d'eux, par contrat, des obligations de protection des données équivalentes à celles du présent accord et demeure pleinement responsable envers vous de leur exécution. Avant qu'un nouveau sous-traitant ultérieur ne traite des données client, VELM met à jour l'annexe 1 et notifie les propriétaires d'espaces de travail par e-mail avec un préavis écrit d'au moins 30 jours ; vous pouvez vous y opposer pour des motifs raisonnables tenant à la protection des données, auquel cas VELM propose une solution ou vous pouvez résilier le service dans les conditions des conditions d'utilisation.

Compte tenu de la nature du traitement, VELM vous aide, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes des personnes concernées relatives aux données client et, compte tenu des informations à sa disposition, à respecter vos obligations en matière de sécurité, de notification des violations, d'analyses d'impact relatives à la protection des données et de consultation préalable de l'autorité de contrôle.

Vous pouvez supprimer vous-même des fichiers, et l'espace de travail entier, à tout moment ; rien n'est récupérable après suppression. À la fin du service — suppression de l'espace de travail, clôture du compte ou résiliation des conditions d'utilisation —, vous choisissez entre la suppression et la restitution des données client encore conservées.

Restitution : sur demande écrite adressée à support@truviate.com dans les 30 jours suivant la fin du service, VELM vous remet une copie des données client encore conservées, dans un format courant et lisible par machine. Cette restitution est effectuée par VELM, sur demande ; elle n'est pas une fonction de l'application. À défaut de demande dans ce délai, et après toute restitution, VELM supprime les données client encore conservées : les fichiers bruts par le processus de conservation, les autres enregistrements avec la suppression de l'espace de travail, et toute donnée restante sur votre demande écrite. Des copies ne sont conservées que si le droit de l'Union ou d'un État membre l'exige, et uniquement à cette fin.

VELM met à disposition les informations nécessaires pour démontrer le respect de l'article 28 du RGPD, à commencer par cette page, ses annexes et l’aperçu de la sécurité. Sur demande écrite, et au plus une fois par an, VELM répond d'abord en fournissant de la documentation et, si cela ne suffit pas, permet la réalisation d'un audit, y compris une inspection, mené par vous ou par un auditeur que vous mandatez, à vos frais, moyennant un préavis écrit raisonnable et selon des modalités qui ne compromettent pas la sécurité des autres clients, et y contribue. VELM vous informe si, à son avis, une instruction donnée dans ce cadre enfreint le droit de la protection des données.

Le présent accord prend effet à l'acceptation des conditions d'utilisation et reste en vigueur aussi longtemps que VELM traite des données client pour votre compte, y compris après la fin des conditions d'utilisation, jusqu'à la suppression ou la restitution prévue à l'article 10. Sa durée et sa résiliation suivent celles des conditions d'utilisation (article 11 des conditions). La responsabilité de chaque partie au titre du présent accord est régie par l'article 10 des conditions d'utilisation, qui s'applique à l'accord comme aux conditions.

Une copie PDF datée, signée par VELM, est disponible sur demande à david@truviate.com.

Liste en vigueur à la date figurant en tête de page. Pour chaque sous-traitant : la finalité pour laquelle il intervient, la localisation où il détient les données pour ce rôle, et la garantie sur laquelle repose un transfert hors de l'Union européenne. Les sous-traitants qui ne traitent que des données de compte ou de facturation, dont VELM est responsable du traitement, sont listés aussi, par souci de complétude, avec l'indication de ce qu'ils reçoivent.

• Vercel Inc., États-Unis — hébergement de l'application et de ses fonctions serveur, tâches planifiées, diffusion de contenu et journaux applicatifs ; les requêtes, y compris les fichiers téléversés pendant leur traitement, transitent par ses serveurs. Localisation : États-Unis, les fonctions serveur étant exécutées dans la région de Francfort. Garantie de transfert : certifié au Data Privacy Framework UE–États-Unis.
• Supabase, Inc., États-Unis — base de données, stockage des fichiers et authentification, y compris les sessions, les seconds facteurs et la connexion via Google. Localisation : projet hébergé dans l'Union européenne (Francfort, Allemagne). Garantie de transfert : clauses contractuelles types de la Commission européenne (décision 2021/914), intégrées à son contrat ; les données sont hébergées à Francfort.
• Google (Google Workspace), Irlande — la boîte de support derrière support@truviate.com, où sont conservés les messages que vous nous envoyez ; ne reçoit de données client que si vous en joignez vous-même à un message. Localisation : Irlande, avec traitement aux États-Unis. Garantie de transfert : Google LLC est certifiée au Data Privacy Framework UE–États-Unis ; les clauses contractuelles types de la Commission européenne sont intégrées aux contrats Google Workspace lorsqu'elles sont nécessaires.
• Anthropic, PBC, États-Unis — fournisseur d'IA, pour l'extraction des conditions de facturation à partir du texte du contrat. Le texte du contrat est transmis à chaque requête ; selon les conditions d'API standard du fournisseur, il peut être conservé, avec la réponse, jusqu'à 30 jours (plus longtemps si un échange est signalé pour violation de ses règles). Aucun accord de conservation nulle des données n'est en place. Localisation : États-Unis. Garantie de transfert : clauses contractuelles types de la Commission européenne (décision 2021/914, modules 2 et 3), intégrées à ses conditions commerciales.
• Stripe Payments Europe, Ltd., Irlande, et Stripe, Inc., États-Unis — traitement des paiements, facturation et détermination de la TVA ; reçoit vos coordonnées de facturation et votre moyen de paiement, jamais de données client. Localisation : Irlande et États-Unis. Garantie de transfert : certifié au Data Privacy Framework UE–États-Unis ; en complément, les clauses contractuelles types de la Commission européenne (décision 2021/914) sont intégrées à son avenant sur les transferts de données.
• Resend, Inc., États-Unis — e-mails transactionnels : messages de compte (vérification, connexion, changements de mot de passe et d'adresse, notifications de sécurité), invitations et notifications d'abonnement ; reçoit des adresses e-mail et le contenu de ces messages, jamais de données client. Localisation : États-Unis. Garantie de transfert : certifié au Data Privacy Framework UE–États-Unis.
• Cloudflare, Inc., États-Unis — protection anti-bot (Turnstile) sur la connexion, l'inscription et les formulaires publics, qui reçoit des signaux de connexion et de navigateur, pas le contenu des documents, et le DNS de notre domaine. Localisation : États-Unis. Garantie de transfert : certifié au Data Privacy Framework UE–États-Unis ; clauses contractuelles types de la Commission européenne en secours.

Mesures en place à la date de cette version. Chacune existe dans le code ou la configuration du service ; aucune n'est un projet. Les mesures assurées par un prestataire sont indiquées comme telles.

• Tout le trafic est chiffré en transit (TLS) ; en production, l'en-tête HSTS impose HTTPS pendant deux ans, sous-domaines compris.
• Une politique de sécurité du contenu (CSP) avec un nonce généré à chaque requête n'autorise que les scripts du service, et l'application interdit son intégration dans un cadre tiers.
• Chiffrement au repos de la base de données et du stockage des fichiers : assuré par le prestataire de base de données et de stockage (Supabase), pour un projet hébergé à Francfort.

• Chaque enregistrement métier porte l'identifiant de son espace de travail ; la sécurité au niveau des lignes de la base de données ne renvoie que les lignes des espaces dont l'utilisateur connecté est membre, quelle que soit la requête.
• Les fichiers sont stockés dans un espace privé — aucun objet n'est public — et les règles du stockage limitent la lecture, le dépôt et la suppression aux membres de l'espace de travail dont le préfixe contient le fichier.
• L'appartenance à un espace et le rôle (propriétaire ou membre) déterminent ce qu'un utilisateur peut voir et faire ; seuls les propriétaires gèrent les membres, et retirer un membre révoque immédiatement son accès.
• Les identifiants de service à privilèges élevés ne sont chargés que dans des modules réservés au serveur, jamais dans le navigateur.
• Les constats et les exécutions du moteur ne sont écrits que par le serveur, et les décisions sont en ajout seul : aucun d'eux ne peut être modifié depuis le client.

• L'authentification est assurée par le fournisseur d'identité ; VELM ne stocke jamais de mot de passe en clair. La protection anti-bot s'applique à la connexion, à l'inscription et aux formulaires publics.
• Un second facteur TOTP enrôlé est exigé avant le premier dépôt de document : les dépôts de contrat et d'exports sont refusés sans authentificateur enrôlé.
• Les actions sensibles — gestion des membres et des invitations, paramètres de sécurité, suppression de fichiers et de l'espace de travail — exigent une vérification récente du second facteur (AAL2) ; la base de données applique elle-même cette exigence par des politiques restrictives sur les tables et le stockage concernés.
• Depuis les paramètres de sécurité, un utilisateur peut déconnecter ses autres sessions ; un changement de mot de passe déconnecte aussi les autres sessions.

• Piste d'audit en ajout seul : confirmations de règles, décisions sur les constats, changements de membres et suppressions sont enregistrés avec l'auteur et l'horodatage ; les membres de l'espace peuvent la lire, personne ne peut la modifier ni l'effacer depuis l'application.
• Les fichiers bruts non supprimés sont purgés automatiquement lors du passage quotidien qui suit la fin de la période de conservation de l'espace de travail (30 jours par défaut, réglable entre 7 et 90 jours par le propriétaire) ; le passage est protégé par un secret partagé et chaque suppression est consignée au journal d'audit.
• La suppression d'un espace de travail supprime en cascade l'ensemble de ses enregistrements.
• Les journaux applicatifs n'acceptent que des champs scalaires ; les champs susceptibles de porter du contenu ou des identifiants (texte, extraits, prompts, e-mails, jetons) sont refusés, et toute chaîne issue d'une erreur passe par un caviardage des secrets avant d'être journalisée.

• Les changements du schéma de la base de données ne sont apportés que par des migrations additives et immuables, vérifiées par un garde-fou en intégration continue avant toute mise en production.
• Les mesures de cette annexe sont exercées par des tests automatisés exécutés à chaque modification du service, et les pages publiques qui les décrivent sont vérifiées par des tests contre le code.